背景
最近在学习研究Linux内核NAT处理逻辑(Linux内核NAT处理),发现要想理解NAT的处理必须弄清iptables规则在Linux 内核中是如何维护的,进而想要知道iptables规则配置从用户态到内核态,一步步是如何将iptables规则下发到内核的。
过程
从下发流程看大致分为以下几步:
1)用户态通过应用层CLI命令配置
2)用户态CLI命令参数解析,转换成iptables 命令配置形式通过system下发
3)iptables内部建立与内核socket通信,通过setsockopt向将命令下发到内核
4) 内核sockopts(应用层和内核通信的一种方式)处理,将iptables规则存入对应的表,对应的链中。
第一步可以有不同的实现,我们从iptables规则配置开始讲起。
iptables规则配置
众所周知,iptables规则通过“四表五链”维护,四表:raw表,mangle表,filter表,nat表;五链对应netfilter框架中的5个hook点,即:PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING;
iptables命令配置参数
参数 | 含义、用法 |
-A chain |
在指定链中添加一条规则 |
-D chain /chain rulenum | 从指定链中删除匹配的规则 |
-I chain [rulenum] | 在指定链的指定规则前插入一条规则,默认在第1条前插入 |